Microsoft FrontPage 2000 Server Extensions リソース キット

UNIX のセキュリティ

 ^10/12     Server Extensions と FTP

IIS および FrontPage Apache パッチ (apache-fp) を実行している Apache サーバーでは、File Transfer Protocol (FTP) および FrontPage Server Extensions を安全に使用することができます。ただし、任意の Web サーバーに FrontPage と FTP の両方へのアクセスを許可した場合は、ユーザーがユーザーのディレクトリ内の FrontPage の実行可能ディレクトリに書き込めないことを確認する必要があります。

FrontPage Server Extensions をインストールすると、ユーザーのディレクトリに実行可能ディレクトリが作成され、FrontPage Server Extensions プログラムが格納されます。FTP を使用して実行可能ディレクトリにファイルをアップロードできるユーザーは、サーバーで実行できるユーザー設定の実行可能ファイルをアップロードすることもできます。標準の UNIX の設定では、Web サーバーはこの実行可能ファイルを呼び出し、Web サーバーのアカウントで実行します。これは、実行可能ファイルが、ユーザーの Web 内のファイルに限らず、Web サーバー上のどのファイルに対しても書き込み権限を持つことを示しています。

これは、すべての FTP サーバーに当てはまる一般的な問題です。FTP サーバーには、Web サーバー上の実行可能ディレクトリへのアップロードを許可しないでください。そのような実行可能ディレクトリがある場合は、FTP サーバーがそれらのディレクトリへアップロードできないように設定されていることを確認する必要があります。

wuftp サーバーでは、ftpaccess ファイルに次の行を追加して、アップロードを禁止することができます (root_dir を各ユーザーのルート FTP ディレクトリに置換します)。
upload root_dir */_vti_* no

別の FTP サーバーをお使いの場合は、サーバーのマニュアルでアップロードの制限について参照してください。

IIS および apache-fp では、このような問題はありません。これらの Web サーバーでは、ユーザーによってアップロードされた実行可能ファイルはそのユーザーとして実行され、セキュリティ権限に制限があるからです。それでもユーザーが Web サーバーに実行可能ファイルを追加できないようにしたい場合は、これらのサーバー上の FrontPage ディレクトリへのアップロードを無効にすることができます。